デンマークSecuniaは現地時間1月3日，Internet Explorer（IE）のFTP（File Transfer Protocol）機能に見つかったセキュリティ・ホールを公表した。悪質なFTPサーバーからIEを使ってファイルをダウンロードしようとすると，ユーザーが意図しないファイルをパソコンの任意の場所（パス）にダウンロードさせられる。対策は，信頼できないFTPサイトからはファイルをダウンロードしないこと。なお，Windows XP SP2上のIEは影響を受けない。
今回のセキュリティ・ホールを発見したのは，「7a69ezine」というグループ。同グループは12月末にWebサイトやメーリング・リストなどで今回のセキュリティ・ホールを公表した。そのセキュリティ・ホールをSecuniaが検証した上で，今回公表した。
今回のセキュリティ・ホールは，IEのFTP機能が入力値をきちんとチェックしないことが原因。このセキュリティ・ホールを悪用すれば，悪意があるFTPサーバー（管理者）は，そのサーバーからファイルをダウンロードしようとするユーザーのパソコン中に，任意のファイルを作る（ダウンロードさせる）ことができる。
任意のファイルを作られるだけで，実行させられるようなことはない。しかしながら，任意のファイルは任意の場所（パス）に作れるので，スタートアップ・フォルダに危険な実行形式ファイル（例えばウイルス）をダウンロードさせれば，次回起動時に実行させられることになる。
セキュリティ・ホールの発見者は，今回のセキュリティ・ホールを突くようなFTPサーバーのソース・コードを公開している。およそ120行のC言語のソース・コードではあるが，きちんと動作するようだ。
米Microsoftからはセキュリティ情報やパッチは公開されていない。このため，信頼できないFTPサイトからはファイルをダウンロードしようとしないことが対策となる。セキュリティ・ホールの発見者は，「IEの使用を止めてFirefoxを使う（Don't use Internet Explorer and turn to Firefox world.）」ことを対策として挙げている。
◎参考資料
◆Internet Explorer FTP Download Directory Traversal（Secunia）
◆Ineternet Explorer FTP download path disclosure（7a69ezine）
（勝村 幸博＝IT Pro）
